分散型サービス拒否(DDoS)攻撃

分散型サービス拒否攻撃 (DDoS) は、さまざまなマシンからの大量のトラフィックをオンライン サービスに攻撃して、オンライン サービスにアクセスできないようにしようとする試みです。DDoS 攻撃は、サーバー、デバイス、データベース、ネットワーク、アプリケーションへのアクセスをブロックする可能性があります。

DDoS 攻撃と標準的なサービス拒否攻撃の違いは、DDoS 攻撃は 1 台だけでなく複数のマシンから発生することです。これがどのように達成されるかを見てみましょう。

DDoS攻撃の仕組み

DDoS攻撃はボットネットから始まります。ボットネットとは、DDoS攻撃やその他の悪意ある用途のために設計された悪意のあるソフトウェアに感染したコンピュータのネットワークのことです。ユーザーは、ソフトウェアやオペレーティングシステムに存在する既知の脆弱性を悪用することで、 フィッシングメール、感染したウェブサイト、さらにはソーシャルネットワークなどを通じて、感染したソフトウェアをダウンロードするように騙される可能性があります。

これらのコンピューターが感染すると、ボットネットの「ラングラー」は、ユーザーの知らないうちに、1つのアプリケーションからリモートでこれらすべてのマシンを制御できます。ボットネットが十分に大きくなると、ネットワークを使用してあらゆるターゲットに対して攻撃を仕掛けることができます。

ボットネットの準備ができたら、攻撃者は開始コマンドを送信し、ボットネット内のすべてのマシンに意図したターゲットに大量のリクエストを送信させることができます。攻撃が防御を突破すると、ほとんどのシステムをすぐに圧倒し、サービス停止を引き起こし、サーバーをクラッシュさせる可能性があります。

ボットネットを作成した多くの攻撃者は、オンラインおよびダークネットマーケットプレイスで有料でサービスを提供し、誰でもDDoS攻撃を仕掛けることができます。

DDoS攻撃の種類

DDoS 攻撃には、攻撃者が何をしようとしているかに応じて、さまざまな形があります。大きく分けて、ボリュームベースの攻撃、プロトコル攻撃、アプリケーション層攻撃の3つに分けられます。

ボリュームベースの攻撃

このタイプの攻撃は、ターゲットとインターネット間の利用可能な帯域幅をすべて使おうとします。この方法の一つとして、増幅攻撃があります。これは、偽装したIPアドレス（標的のIPアドレス）をDNSサーバーに大量に送信することで、標的に対してはるかに大きなDNS応答を引き起こすというものです。SNMPやNTPプロトコルはボリュームベース攻撃にも使用されます。最終的には、ターゲットが受け取る応答がネットワークを混乱させ、受信トラフィックをブロックします。

プロトコル攻撃

プロトコル攻撃は、ロードバランサーや ファイアウォールなどのネットワーク機器のリソースを使い果たすことでサービスを妨害します。これらの攻撃はプロトコルスタックのネットワーク層およびデータリンク層を標的としています。プロトコル攻撃の一つにSYNフラッドがあります。このタイプの攻撃はTCPハンドシェイクを利用してネットワークをフラッディングします。ボットネットは、偽装したIPアドレスを使用して、標的に大量のTCP初期接続要求（SYN）パケットを送信します。ターゲットマシンのリソースは枯渇し、決して実行されることのないこれらのリクエストの最終ステップを待つことになる。

アプリケーション層攻撃

このタイプの DDoS 攻撃は、ネットワーク上で実行されているアプリケーション、特に HTTP リクエストに応答する Web アプリケーションを標的とします。HTTP 要求はクライアントにとって軽量ですが、応答を生成するためにサーバーから多くのリソースを必要とする場合があります。1 つの要求には、コード実行、複数の画像要求、およびデータベース クエリが含まれる場合があります。アプリケーション層攻撃を使用するボットネットは、各ノードから同じ Web ページに同時にヒットするだけで、サーバーをダウンさせることができます。

DDoS攻撃の症状

DDoS攻撃の症状は、明らかに突然遅くなったり応答しなくなったりしたサイトまたはサービスですが、すべての遅いサイトが攻撃されているわけではありません。トラフィックの急増や正当なサーバーの問題により、同じ種類の応答不能が発生する可能性があります。

DDoS 攻撃を受けているかどうかを判断するには、トラフィック分析ツールを使用してさらに調査し、どのような種類のトラフィックを受け取っているのか、どこから来ているのか、どこへ向かっているのかを判断する必要があります。DDoS 攻撃の兆候には次のようなものがあります。

• 単一の IP アドレスまたはアドレスの範囲からの異常な量のトラフィック
• 1 日の奇妙な時間、限られた時間、またはパターンに従って発生するトラフィックの奇妙なスパイク
• 1 つの Web ページまたはサービスへのトラフィックの突然の洪水
• 位置情報、ブラウザのバージョン、デバイスの種類など、類似したプロファイルを持つユーザーからのトラフィックの洪水

DDoS攻撃の防止

DDoS攻撃からネットワークを守ることは決して簡単な作業ではありません。これは、感染したシステムから削除できるマルウェアやウイルスとは異なります。DDoS攻撃はネットワーク外から発生し、詳細をよく見るまでは通常のトラフィックのように思えます。DDoS攻撃が検出されたら迅速に対応することが重要です。なぜなら、この種の攻撃は数分でウェブサイトやサービスをダウンさせることがあるからです。

ルーターを保護する

ルーターは、ネットワークに出入りするゲートウェイです。ボットネット内のボットがルーターを通過できない場合、ルーター上のサービスに影響を与えることはできません。これは防御の第一線であり、優先度でトラフィックをフィルタリングし、脅威となるデータやトラフィックをブロックするように構成する必要があります。

IoTデバイスの保護

ラップトップや携帯電話を保護する多くの人は、IoT デバイスにデフォルトのパスワードを残すことについてよく考えません。多くのIoTデバイスは、ボットネットのボットとなるマルウェアの標的となる可能性のある完全なLinuxオペレーティングシステムを実行しています。このため、彼らはお気に入りのターゲットです。強力なパスワードで IoT デバイスを保護することで、ボットネット内の別のボットになるのを防ぐことができます。

機械学習を使用する

DDoS 攻撃の検出には、トラフィック分析が含まれます。これは手動で行うこともできますが、機械学習テクノロジーは悪意のあるトラフィックを迅速に検出できます。トラフィックは、既知のDDoSパターンや異常についてリアルタイムで分析でき、疑わしいトラフィックは、サービスやWebサイトの速度を低下させる前にブロックできます。

結論

分散型サービス拒否攻撃または DDoS 攻撃は、システムを過負荷にするリクエストを大量に送り込んで、Web サイトまたはサービスへのアクセスをブロックしようとする試みです。攻撃者は、選択したサイトやサービスを標的にするために使用できるマルウェアでマシンの軍隊を感染させることでこれを実現します。DDoS 攻撃のトラブルシューティングと防止は簡単ではなく、トラフィックの異常を分析する必要がありますが、適切なツールを使用すると、DDoS 攻撃を疎外または防止できます。